Штрафы за нарушение 152-ФЗ
Восемнадцать составов, от 30 тысяч рублей за отсутствие политики на сайте до оборотного штрафа в 500 миллионов за повторную утечку. Ниже — все, с точными вилками из текста статьи.
Все составы ст. 13.11 КоАП
Части 12–18 — про утечки — введены Федеральным законом от 30 ноября 2024 года № 420-ФЗ. Части 1–11 действовали и раньше.
| Часть | Нарушение | Компания | Должностное лицо |
|---|---|---|---|
| ч. 1 | Обработка данных без законного основания или не для той цели, ради которой их собиралиобработка в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора | 150 000 – 300 000 ₽ | 10 000 – 20 000 ₽ |
| ч. 2 | Обработка без письменного согласия там, где закон его требуетобработка персональных данных без согласия в письменной форме субъекта | 300 000 – 700 000 ₽ | 20 000 – 40 000 ₽ |
| ч. 3 | На сайте нет политики обработки персональных данных в открытом доступеневыполнение обязанности по опубликованию документа, определяющего политику оператора | 30 000 – 60 000 ₽ | 6 000 – 12 000 ₽ |
| ч. 4 | Человеку не дали информацию о том, как обрабатывают его данныеневыполнение обязанности по предоставлению субъекту информации, касающейся обработки | 40 000 – 80 000 ₽ | 8 000 – 12 000 ₽ |
| ч. 5 | Не выполнили в срок требование удалить, уточнить или заблокировать данныеневыполнение требования об уточнении, блокировании или уничтожении в установленные сроки | 50 000 – 90 000 ₽ | 8 000 – 20 000 ₽ |
| ч. 6 | Нарушены правила хранения бумажных носителей с даннымиобработка без использования средств автоматизации с нарушением условий хранения | 50 000 – 100 000 ₽ | 8 000 – 20 000 ₽ |
| ч. 8 | Данные россиян собираются в базы за пределами РФневыполнение обязанности по записи, хранению и извлечению данных граждан РФ с использованием баз на территории РФ | 1 000 000 – 6 000 000 ₽ | 100 000 – 200 000 ₽ |
| ч. 9 | То же нарушение повторноповторное совершение правонарушения, предусмотренного частью 8 | 6 000 000 – 18 000 000 ₽ | 500 000 – 800 000 ₽ |
| ч. 10 | Не подали в Роскомнадзор уведомление о том, что обрабатываете данныеневыполнение или несвоевременное уведомление уполномоченного органа о намерении осуществлять обработку | 100 000 – 300 000 ₽ | 30 000 – 50 000 ₽ |
| ч. 11new | Не сообщили в Роскомнадзор об утечкеневыполнение или несвоевременное уведомление органа об установлении факта неправомерной передачи | 1 000 000 – 3 000 000 ₽ | 400 000 – 800 000 ₽ |
| ч. 12new | Утечка данных от 1 000 до 10 000 человек | 3 000 000 – 5 000 000 ₽ | 200 000 – 400 000 ₽ |
| ч. 13new | Утечка данных от 10 000 до 100 000 человек | 5 000 000 – 10 000 000 ₽ | 300 000 – 500 000 ₽ |
| ч. 14new | Утечка данных более 100 000 человек | 10 000 000 – 15 000 000 ₽ | 400 000 – 600 000 ₽ |
| ч. 15new | Повторная утечка (после наказания за любую из частей 12–14, 16–18)оборотный штраф: 1–3% выручки за предшествующий год, но не менее 20 млн и не более 500 млн ₽ | 1–3% выручки · от 20 до 500 млн ₽ | 800 000 – 1 200 000 ₽ |
| ч. 16new | Утечка специальной категории данных — здоровье, судимость, взгляды | 10 000 000 – 15 000 000 ₽ | 1 000 000 – 1 300 000 ₽ |
| ч. 17new | Утечка биометрии | 15 000 000 – 20 000 000 ₽ | 1 300 000 – 1 500 000 ₽ |
| ч. 18new | Повторная утечка спецкатегории или биометрииоборотный штраф: 1–3% выручки, но не менее 25 млн и не более 500 млн ₽ | 1–3% выручки · от 25 до 500 млн ₽ | 1 500 000 – 2 000 000 ₽ |
Часть 7 в таблице пропущена: она касается только государственных и муниципальных органов.
Оборотный штраф — главное, что стоит знать
Части 15 и 18 работают иначе, чем остальные. Штраф считается не фиксированной суммой, а долей выручки: от 1 до 3% совокупной выручки за календарный год, предшествующий году выявления нарушения.
Снизу и сверху есть границы: по ч. 15 — не менее 20 млн ₽, по ч. 18 — не менее 25 млн ₽, и в обоих случаях не более 500 млн ₽. То есть даже небольшая компания, допустившая вторую утечку, получает минимум двадцать миллионов независимо от оборота.
Повторность считается широко: по ч. 15 достаточно, чтобы компания уже была наказана по любой из частей 12–14 или 16–18. Это не «второй раз то же самое», а «второй раз что угодно из утечек».
ИП отвечает как компания
Примечание 1 к статье: по частям 1.1 и 8–18 индивидуальные предприниматели несут ответственность как юридические лица. Это ровно те части, где суммы измеряются миллионами — локализация и все утечки.
То есть привычное «я ИП, мне выпишут как физлицу» здесь не работает: за утечку базы клиентов ИП получит ту же вилку, что и ООО.
Скидки тоже не будет: ст. 13.11 прямо названа в исключениях ст. 32.2 КоАП, поэтому льгота на уплату половины суммы в течение 20 дней на эти штрафы не распространяется.
Два штрафа за один инцидент
Утечка и несообщение о ней — разные составы. Сама утечка идёт по частям 12–14 (или 16–17, если данные особые), а неуведомление Роскомнадзора — по части 11, это ещё от 1 до 3 млн ₽ для компании.
Практический вывод простой: скрывать инцидент дороже, чем сообщать о нём.
С чего начинают проверки
Самые дорогие составы — про утечки и локализацию — требуют разбирательства. А вот части 3 и 10 проверяются снаружи и без запросов: есть ли на сайте политика обработки данных и числится ли компания в реестре операторов. Именно с них обычно и начинается.
Полный текст статьи со всеми примечаниями — ст. 13.11 КоАП РФ.
Суммы и формулировки сверены с текстом ст. 13.11 КоАП РФ. Последняя вычитка — 9 августа 2026 г..